1. Cluster הוא אובייקט אנליטי, לא אדם
אשכול ארנקים הוא קבוצת כתובות שאוגדו משום שדפוס אחד או יותר מציע שליטה, תיאום או מטרה משותפים. האשכול נוצר בשיטה; הוא אינו עובדה שכבר כתובה בשרשרת. ledger ציבורי חושף טרנזקציות, קריאות חוזה ואירועים. הוא אינו חושף זהות משפטית, כוונה או מכשיר מאחורי כתובת.
חקירה צריכה לשמור שלוש שכבות: תצפיות, קשרים וייחוס. תצפית יכולה להיות טרנזקציה שנחתמה במפתח. קשר יכול לומר ששתי כתובות מממנות שוב ושוב ארנק תפעולי. ייחוס הוא הטענה החזקה יותר שישות ידועה שולטת בהן. המעבר דורש ראיות נוספות ורישום אי־ודאות.
הגרף אינו הופך כלל קיבוץ לתווית שנראית כמו זהות. קו יכול לייצג מימון משותף, שימוש חוזר בהפקדה, אינטראקציה בחוזה או שליטה מאומתת. לכל משמעות נדרשים סוג, ראיות ומגבלות משלה.
2. מגדירים שאלה לפני יצירת הגרף
Clustering ללא החלטה מוגדרת מייצר מפה יפה אך בלתי־תחומה. מתחילים בשאלה: האם הכספים קשורים לשירות מסומן, האם כתובת הפקדה בבורסה הוחזרה לשימוש, האם מסלול bridge משמר ערך, או האם כמה כתובות מנוהלות כנראה על ידי פעולה אחת? השאלה קובעת רשתות, זמן, נכסים וסף טעות.
בדיקת compliance יכולה להציף false positives לסקירה אנושית, בעוד הפניה לאכיפה דורשת רף גבוה בהרבה. מודל fraud רשאי לפעול על הסתברות כשהתוצאה הפיכה, למשל בקשת אימות נוסף. אסור להציג אותה הסתברות כטענה פומבית.
רושמים בתיק את המטרה, מקורות המידע המורשים והקהל. כך cluster שנוצר למציאת כיוונים לא ממוחזר כאילו אומת לסגירת חשבון, תפיסת נכס או פרסום.
3. לכל heuristic יש מודל כשל
ברשתות account-based אין להעתיק בפשטות common-input heuristic מעולם UTXO. מימון משותף יכול להצביע על מפעיל אחד, אך גם על exchange, paymaster, treasury או batch service. nonce דומה, תזמון, מימון gas וצדדים חוזרים מחזקים השערה, אבל אוטומציה יוצרת אותם אותות בקנה מידה גדול.
שימוש חוזר בכתובת הפקדה עשוי לקשר פעילות לשירות, לא ללקוח אחד. חוזים מוסיפים routers, aggregators, relayers ו-vaults שמייצגים תפקידים ולא בעלים. bridge מוסיף שולח, חוזים, attesters, relayers ומקבל. קיבוץ כולם ינפח אשכולות.
לכל כלל שומרים מודל כשל: איזו התנהגות תמימה יוצרת את האות, איזה מידע חסר ומה יכול להפריך את הקשר. כך אי־ודאות הופכת לשדה שניתן לבדוק.
4. משתמשים ברמות ראיה, לא בציון יחיד
ציון כמו 92% מסתיר סיבות שאינן שקולות. סכמה טובה משתמשת ברמות: תצפית on-chain; קשר ניתן לשחזור לפי כלל מתועד; corroboration ממקור עצמאי; וייחוס מאומת ברשומה מוסמכת או אישור ישיר.
לא מחברים רמות בחשבון פשוט. חמש התאמות זמן חלשות אינן שוות לרשומת לקוח מאומתת. גם ספקים שונים עשויים לשאוב אותה תווית. provenance מתעד מקור, זמן איסוף, שאילתה, גרסת parser ושינויים כדי לזהות תלות.
הממשק יכול לסכם חוזק אך מאפשר לפתוח evidence packet: הטענה, תצפיות תומכות וסותרות, הסברים חלופיים, מגבלות מקור והראיה הבאה שתשנה את ההערכה.
5. Entity resolution זקוק לראיות שליליות
חוקרים אוספים טבעית קישורים תומכים. תהליך אמין מחפש גם סתירה. כתובות שנחשבות בשליטה משותפת עשויות לפעול בו־זמנית ממערכות custody שונות או להיות משויכות ברשומות מוסמכות ללקוחות אחרים. עובדות כאלה צריכות להחליש או לפצל cluster.
מגדירים exclusion: hot wallet של exchange אינו מאחד כל מפקיד ומקבל; router נשאר תשתית בלי ראיה נוספת; relayer של bridge אינו הנהנה; ותפקיד כתובת שמשתנה דורש membership תחום בזמן.
כל merge ו-split מקבלים גרסה. ראיה ששוברת אשכול מסמנת דוחות קודמים כ-superseded אך אינה מוחקת אותם. מחיקה מונעת הסבר; שימור בלי סטטוס מאפשר שימוש שגוי.
6. זהות בין רשתות היא טענה על רציפות
העברת ערך בין רשתות אינה מעבירה זהות אוטומטית. הודעת פרוטוקול יכולה להוכיח שפעולת מקור הובילה ל-mint או release ביעד. היא אינה מוכיחה ששולח, relayer ומקבל נמצאים בבעלות משותפת. מפרידים רציפות פרוטוקול, כלכלה ושליטה.
רציפות פרוטוקול נשענת על message identifiers, nonce, domain ואירועי יעד. רציפות כלכלית מתאימה ערך, עמלות, slippage וזמן. רציפות שליטה דורשת חתימה, רשומת שירות מאומתת או דפוס חזק מספיק להחלטה.
הגרף המומלץ של דור ארד שומר edges נפרדים. edge של bridge יכול להיות מאומת כאשר ownership נשאר unknown. זו התוצאה המדויקת שהראיות מאפשרות.
7. מודיעין off-chain חייב לשמור מקור
רשומות exchange, דומיינים, נתוני מכשיר, רשימות סנקציות וגילויי שירות יכולים לשנות הערכה, אך מוסיפים מגבלות גישה, פרטיות ואמינות משתנה. שומרים מקור בנפרד מהערה ומסבירים אם בודק אחר יכול לגשת אליו.
tag של ספק כולל ספק, גרסה, תאריך והיקף. מסמך משפטי או designation מקושר למסמך ולסטטוס המדויק ולא מסוכם כאשמה. רשומת לקוח משמשת רק בסמכות מתאימה ומופצת לפי צורך.
כשמקור אינו ניתן לייצוא מציינים זאת. הוא יכול לתמוך בהחלטה פנימית, אך משנה את יכולת השחזור החיצונית.
8. בונים case object שניתן להסביר
תיק עמיד מכיל שאלה, scope, datasets, observations, relationships, attributions, alternatives, reviewers ו-decisions. כל edge מצביע לראיה קבועה. כל טענה כוללת מחבר, זמן, שיטה וסטטוס. הצעות אוטומטיות נפרדות מממצא שאדם קיבל.
ייצוא חייב לשמור הבחנות. CSV שטוח של כתובות וציונים מאבד את הסיבה לקשר. ייצוא שימושי כולל edge type, מקורות, תחומי זמן, גרסאות parser והסתייגויות, ומאפשר לראות אילו טענות קורסות כשמסירים מקור.
הרשאות עוקבות אחר רגישות. נתוני chain ציבוריים יכולים להיות פתוחים, בעוד מזהים אישיים ורשומות מוגבלות דורשים גישה צרה ו-audit log. אוספים רק מה שנדרש למטרה.
9. בודקים מקרים עמומים ועוינים
מנוע clustering נבדק מול exchange fan-out, paymasters, mixers, bridge relayers, multisig rotation, upgrade, address poisoning, dust, batch settlement ושני משתמשים שפועלים באותו זמן. לעיתים התוצאה הנכונה היא candidate או no conclusion.
מודדים precision ועומס סקירה לפי heuristic ולפי תוצאה. כלי lead generation סובל יותר מועמדים ממערכת restriction אוטומטית. בודקים גם את הממשק: האם reviewer מבחין בראיה סותרת ומבין edge types?
משתמשים ב-ground truth סינתטי כשבעלות אמיתית אינה ניתנת לקביעה אתית או אמינה. מריצים מחדש לאחר שינוי parser, provider או כלל, משום ש-drift יכול להגיע מהתשתית.
10. כותבים מסקנה בעוצמת הראיות
מסקנה ממושמעת מפרידה בין מה שנצפה, מה שהוסק ומה שאינו ידוע. למשל: הטרנזקציות מציגות מימון חוזר מארנק שירות; התזמון והסכומים תומכים בהשערת תיאום; הראיות אינן מוכיחות שאדם אחד שולט בכל המקבלים.
מציינים חלופות ואת הראיה שתבחין ביניהן. רשומת שירות, הודעה חתומה או קישור חשבון מאומת יכולים לחזק ייחוס. רשומות custody סותרות יכולות להחליש. מקצים בעלים לשאלות פתוחות.
מודיעין בלוקצ׳יין מועיל כשהוא ניתן לביקורת גם תחת מחלוקת. היעד אינו cluster גדול או score גבוה, אלא מסלול החלטה שבו בודק מוסמך יכול להבין את השיטה, לשחזר קשרים ולראות היכן הביטחון נעצר.